bash - 如何为在 bash 中提示输入密码的命令提供密码？

Question

我正在编写一个 UNIX shell 函数，它将执行一条提示用户输入密码的命令。我想将密码硬编码到脚本中并将其提供给命令。我试过像这样将密码传递到命令中:

function() {
    echo "password" | command
}

这可能不适用于某些命令，因为命令可能会在提示输入密码之前刷新输入缓冲区。

我也试过将标准输入重定向到一个包含密码的文件，但是这也不起作用:

function() {
    echo "password" > pass.tmp
    command < pass.tmp
    rm pass.tmp
}

我知道有些命令允许将密码作为参数提供，但我宁愿通过标准输入。

我正在寻找一种将密码通过管道传输到 bash 命令中的快速而肮脏的方法。

Answer 1

如何使用 autoexpect 将密码通过管道传输到命令中:

这些步骤在 Ubuntu 12.10 桌面上进行了说明。您的发行版的确切命令可能略有不同。

这很危险，因为您冒着将您使用的任何密码暴露给任何可以阅读自动预期脚本文件的人的风险。

不要通过像这样通过 expect 传递它们来暴露您的 root 密码或高级用户密码。 Root 工具包会立即找到它，并且您的盒子已被拥有。

EXPECT 生成一个进程，读取传入的文本，然后发送脚本文件中预定义的文本。

1. 确保安装了 expect 和 autoexpect:

   sudo apt-get install expect
   sudo apt-get install expect-dev
   

2. 继续阅读:

   man expect
   man autoexpect
   

3. 转到您的主目录:

   cd /home/el
   

4. 用户 el 无法将文件更改为 root，必须输入密码:

   touch testfile.txt
   sudo chown root:root testfile.txt 
      [enter password to authorize the changing of the owner]
   

5. 这是我们要自动化的密码输入。重新启动终端以确保 sudo 再次要求我们输入密码。再次转到/home/el 并执行此操作:

   touch myfile.txt
   
   autoexpect -f my_test_expect.exp sudo chown root:root myfile.txt
   
       [enter password which authorizes the chown to root]
   
   autoexpect done, file is my_test_expect.exp
   

6. 您已经创建了 my_test_expect.exp 文件。您的 super secret 密码以明文形式存储在此文件中。这会让你非常不舒服。通过尽可能限制权限和所有权来减轻一些不适:

   sudo chown el my_test_expect.exp     //make el the owner.
   sudo chmod 700 my_test_expect.exp    //make file only readable by el.
   

7. 您会在 my_test_expect.exp 的底部看到这些命令:

   set timeout -1
   spawn sudo chown root:root myfile.txt
   match_max 100000
   expect -exact "\[sudo\] password for el: "
   send -- "YourPasswordStoredInPlaintext\r"
   expect eof
   

8. 您需要验证上述 expect 命令是否合适。如果 autoexpect 脚本过于敏感或不够敏感，那么它将挂起。在这种情况下，这是可以接受的，因为 expect 正在等待总是会到达的文本。

9. 以用户 el 运行 expect 脚本:

   expect my_test_expect.exp 
   spawn sudo chown root:root myfile.txt
   [sudo] password for el: 
   

10. 包含在 my_test_expect.exp 中的密码由用户 el 通过管道传输到 root 的 chown。要查看密码是否被接受，请查看 myfile.txt:

    ls -l
    -rw-r--r--  1 root root          0 Dec  2 14:48 myfile.txt
    

它之所以有效，是因为它是 root，而且 el 从未输入过密码。如果您使用此脚本公开您的 root、sudo 或高级用户密码，那么在您的机器上获取 root 将很容易。这就是让每个人都无法提问的安全系统的惩罚。